Kordia 2026 보고서: 뉴질랜드 사이버 사고의 17%가 데이터 도난으로 끝난다
새롭게 발표된 업계 보고서가 대부분의 조직이 존재한다는 사실은 알지만 측정하기 어려워하는 문제에 구체적인 수치를 제시했다. 개인 데이터 도난 사이버 사고는 이제 전체 보안 이벤트에서 상당한 비중을 차지하고 있다. 2026 Kordia 뉴질랜드 비즈니스 사이버 보안 보고서에 따르면, 사이버 사고의 17%, 즉 여섯 건 중 하나꼴로 개인 정보에 대한 무단 접근 또는 도난이 발생하는 것으로 나타났다. 이 수치와 함께, 보고서는 직원의 부적절한 AI 사용을 오늘날 조직이 직면한 가장 시급한 신흥 위협 중 하나로 지목했다.
이러한 조사 결과들은 종합적으로, 기존의 많은 방어 체계가 대응하도록 설계된 속도보다 더 빠르게 변화하는 위협 환경의 모습을 보여준다.
Kordia 2026 보고서가 실제로 발견한 것
Kordia 보고서는 다양한 업종과 규모의 뉴질랜드 기업들을 대상으로 조사를 실시하여, 사이버 사고가 실제로 어떻게 전개되는지에 대한 지역적 현실을 보여주는 보다 신뢰할 수 있는 스냅샷 중 하나로 평가받고 있다. 사고의 17%가 개인 데이터 노출로 끝난다는 핵심 수치는 단순한 공격 규모나 유형이 아닌 구체적인 결과를 포착했다는 점에서 주목할 만하다.
많은 사이버 보안 보고서는 공격이 어떻게 시작되는지에 초점을 맞춘다. 피싱 이메일, 탈취된 자격 증명, 패치되지 않은 소프트웨어 등이 그 예다. 이 보고서는 공격이 어디서 끝나는지에 주목하며, 상당한 비율의 경우 그 종착점은 조직의 통제를 벗어나는 누군가의 개인 정보라는 점을 드러낸다. 이러한 구분은 규제 기관, 고객, 이사회가 실제로 중요하게 여기는 방식으로 위험을 이해하는 데 중요하다.
보고서는 또한 직원의 부적절한 AI 사용을 새로운 도전 과제로 부각시킨다. 이는 직원들이 외부 AI 도구에 민감한 데이터를 입력하거나, 승인되지 않은 AI 플랫폼을 사용하거나, 업무를 자동화하려는 과정에서 기밀 정보를 공유하는 것을 의미한다. 대부분의 경우 악의적인 의도가 있는 것이 아니다. 편의성이 주의를 앞서는 것이다.
여섯 건 중 하나의 사고가 데이터 침해로 끝나는 이유
17%라는 수치는 현대 조직이 데이터를 처리하는 방식에 관한 몇 가지 구조적 현실을 반영한다. 개인 정보는 여러 시스템에 걸쳐 저장되고, 조직 내에서 광범위하게 공유되며, 다양한 직급의 직원들이 정기적으로 접근한다. 이러한 분산 구조는 어떤 침입이 성공하더라도 탐지되어 차단되기 전에 개인 데이터에 접근할 가능성이 상당히 높다는 것을 의미한다.
이는 또한 개인 정보가 공격 대상으로서 높은 가치를 지닌다는 사실을 반영한다. 네트워크에 접근한 공격자들은 이름, 연락처, 금융 기록, 신원 정보를 구체적으로 찾는 경우가 많다. 이러한 정보는 직접적인 재판매 가치가 있으며 후속 사기 및 사회 공학적 공격에 활용될 수 있다.
사고 발생과 개인 데이터 유출 확인 사이의 시간 차이도 하나의 요인이다. 탐지 지연은 공격자에게 가장 가치 있는 기록을 찾아 유출할 시간을 더 많이 제공한다. 견고한 로깅, 네트워크 분리, 모니터링 체계가 부족한 조직은 데이터가 이미 유출된 후에야 침해 사실을 발견할 가능성이 높다.
이러한 패턴은 뉴질랜드에만 국한된 것이 아니다. 이는 전 세계적으로 연구자들이 문서화한 내용과 일치한다. 규제 대상 기관과 충분한 자원을 갖춘 조직들도 여전히 개인 데이터를 일상적으로 잘못 취급하고 있으며, 이는 출시 수 분 만에 침해된 EU 연령 확인 앱 사례에서도 탐구된 바 있다. 해당 사례에서 보안에 관한 설계 전제는 거의 즉시 치명적으로 낙관적이었음이 드러났다.
VPN만으로는 해결할 수 없는 AI 내부자 위협
AI 사용 관련 조사 결과는 특별한 주의를 요한다. 이는 기존의 대부분의 보안 도구가 대응하도록 설계되지 않은 위험 범주를 나타내기 때문이다. 직원이 공개 AI 어시스턴트에 고객 기록을 붙여 넣거나 승인되지 않은 생산성 도구를 사용하여 HR 데이터를 처리할 때, 어떠한 방화벽도 작동하지 않고, VPN 경보도 발생하지 않으며, 침입 탐지 시스템도 경고를 발생시키지 않는다. 데이터는 완전히 합법적인 경로를 통해 유출된다.
이것이 내부자에 의한 노출의 핵심 문제다. 이는 종종 일반적인 업무와 구별되지 않는다. VPN은 기기와 기업 네트워크 사이의 연결을 보호한다. 그러나 직원이 합법적으로 데이터에 접근한 후 그 데이터로 무엇을 하는지는 통제하지 못한다. 암호화는 신뢰할 수 있는 엔드포인트 간 전송 중인 데이터를 보호한다. 그러나 권한이 있는 사용자가 승인되지 않은 곳으로 전송하기로 선택한 데이터는 보호하지 못한다.
VPN, 엔드포인트 보호, 방화벽을 포함한 경계 보안 도구에 막대한 투자를 한 조직도 사람과 정책 계층을 다루지 않았다면 여전히 노출될 수 있다. Kordia의 조사 결과는 AI 도구가 더 저렴해지고, 더 유능해지며, 일상적인 업무 흐름에 더 깊이 내재됨에 따라 이 격차가 커지고 있음을 시사한다.
AI 도구 환경이 얼마나 빠르게 변화하는지도 문제를 복잡하게 만든다. 6개월 전에 작성된 정책은 오늘날 직원들이 사용하는 플랫폼을 다루지 못할 수 있다.
VPN을 넘어서는 개인정보 보호 방어 구축
데이터 도난율과 AI 내부자 위협 모두를 해결하려면 기술적 통제, 조직 정책, 사용자 교육을 결합한 다층적 접근 방식이 필요하다.
기술적 측면에서, 데이터 손실 방지(DLP) 도구는 AI 서비스를 포함한 외부 플랫폼으로 민감한 범주의 정보가 전송될 때 이를 탐지하도록 구성할 수 있다. 아웃바운드 데이터 전송을 기록하는 네트워크 모니터링은 비정상적인 패턴을 식별하는 데 도움이 될 수 있다. 어떤 직원이 어떤 데이터에 접근할 수 있는지를 제한하는 접근 통제는 단일 사고의 피해 범위를 줄여준다.
정책 측면에서, 조직은 승인된 AI 도구, 외부에서 처리할 수 있는 데이터 범주, 정책 위반의 결과에 대한 명확하고 최신의 지침이 필요하다. 모호함은 위험 요소다. 도구가 승인되었는지 확신하지 못하는 직원은, 특히 업무를 더 쉽게 만들어 준다면, 결국 사용하는 경향이 있다.
사용자 교육은 여전히 중요하다. AI 관련 데이터 노출 사고를 일으키는 대부분의 직원은 악의적인 의도로 행동하는 것이 아니다. 그들은 효율적으로 일하려고 노력하고 있다. 단순히 특정 데이터를 외부 AI 도구에 입력할 수 없다는 사실만이 아니라, 왜 그럴 수 없는지를 구체적으로 설명하는 교육은 일반적인 보안 리마인더보다 더 나은 준수 결과를 이끌어내는 경향이 있다.
개인에게 있어, 이 보고서는 조직이 자신에 대해 어떤 개인 데이터를 보유하고 있으며 그것이 어떻게 보호되는지 확인해볼 것을 상기시켜주는 유용한 자료다. 캘리포니아 소비자 개인정보 보호법(CCPA)과 같은 법률은 일부 소비자에게 자신의 데이터에 대한 공식적인 권리를 부여하지만, CCPA 집행은 실제로 상당한 허점이 있으며, 해당 권리를 행사하려면 능동적인 노력이 필요하다.
이것이 여러분에게 의미하는 것
Kordia 2026 보고서는 뉴질랜드에 초점을 맞춘 연구이지만, 그 조사 결과는 업종과 지역을 막론하고 인식할 수 있는 패턴을 반영한다. 여섯 건 중 하나의 사고가 개인 데이터 도난으로 이어진다는 것은 상당한 비율이며, 내부자 위협으로서의 부적절한 AI 사용의 등장은 많은 보안 프로그램이 아직 따라잡고 있는 새로운 차원을 추가한다.
개인에게 있어, 이는 기업과 공유하는 개인 데이터가 무엇인지, 침해 시 그 중 얼마나 많은 것이 노출될 수 있는지, 그리고 그 노출을 최소화하기 위한 가용 권리를 행사하고 있는지 생각해보게 하는 계기가 된다. 조직에게 있어, 이 보고서는 보안 논의를 경계 도구를 넘어 포괄적인 데이터 거버넌스로 이동시켜야 한다는 근거가 된다.
기술적 방어는 필요하지만 충분하지 않다. 17%라는 수치는 사고가 발생한 후에도 개인 데이터 피해를 억제하려면 대부분의 조직이 아직 개발하고 있는 신속성, 가시성, 명확한 정책이 필요하다는 것을 시사한다. 자신의 데이터 발자국을 검토하고, 적용 가능한 개인정보 보호법에 따라 어떤 권리가 있는지 이해하며, 침해가 실제로 어떻게 발생하는지에 대한 정보를 지속적으로 파악하는 것이 오늘 누구나 취할 수 있는 실질적인 첫 번째 단계다.
